根据文章内容为读者提供摘要总结。
上篇文章写到了一个亲自测试的demo，其中有一个地方讲到了“html字符实体”，这是上次xss成功需要知道的非常重要的一个小知识。不仅html字符实体，要继续学习xss需要了解很重要的一个知识就是编码。不然很多时候遇到各种对特殊字符的过滤可能就无能为力了。这篇文章就是要学习一下xss各种编码的知识，内容可能比较枯燥～～
concat() 方法用于连接两个或多个字符串，此方法不改变现有的字符串，返回拼接后的新的字符串。
使用以下插件，依次实现：markdown字符串转HTML、自动生成目录(toc)、代码高亮等功能。
最后呢bingo调用html对象的render执行js代码把藏属性里的字符串拿出来
在以往的培训和渗透过程中，发现很多渗透人员尤其是初学者在挖掘xss漏洞时，很容易混淆浏览器解析顺序和解码顺序，对于html和js编码、解码和浏览器解析顺序、哪些元素可以解码、是否可以借助编码绕过等情况也基本处于混沌的状态，导致最终只能扔一堆payload上去碰碰运气。这篇文章就把浏览器解析顺序、编码解码的类型、各种解码的有效作用域以及在xss里的实战利用技巧做一个系统总结，让你深度掌握xss挖掘和绕过。
最近，这几周更新文章的频率明显比之前有所降低。不是懒，主要是最近想沉淀沉淀。休息的这几天我也有所收获，抽着晚上的空打算自己写一个玩具JS库玩玩。不像很多大型框架那样，在开发之前都有严思缜密的计划。然而，我就只想动手尝试尝试。所以，我写了一个叫Strview.js这样一个玩具JS库。
typeof 运算符把对象、数组或null返回 object typeof 运算符不会把函数返回 object ps：因为JavaScript中数组即是对象，所以 typeof [数组] 返回为”object“
数组转为字符串可以使用 toString 方法，但是这个方法不能自定义分割符，默认分割符为英文逗号 ,
有两个功能, 一个是可以获取指定DOM的HTML元素, 另一个就是替换指定DOM的HTML元素
在我们前面的文章中已经深入学了HTML和CSS，在网页设计中我们已经有能力完成一个美观的网页框架
参考资料：http://www.w3school.com.cn/js/index.asp
import-html-entry 是 qiankun 中一个举足轻重的依赖，用于获取子应用的 HTML 和 JS，同时对 HTML 和 JS 进行了各自的处理，以便于子应用在父应用中加载。
在 HTML 中，JavaScript 代码必须位<script>与</script>标签之间
作者 0xExploit 0×00 引言 很多不了解html、js编码的童鞋挖掘xss漏洞时，都是一顿乱插，姿势对了，就能获得快感，姿势不对，就么反应。另外在freebuf里，有很多文章介绍过跨站编码，有兴趣的，可以搜索下。 本文介绍常见的编码方法，能力不足，如有其他意见，请指正。 0×01 常用编码 URL编码：一个百分号和该字符的ASCII编码所对应的2位十六进制数字，例如“/”的URL编码为%2F(一般大写，但不强求) HTML实体编码： 命名实体：以&开头，分号结尾的，例如“<”的编码是“<”
JS是一种脚本语言，也是一种面向对象的语言，可用于HTML、web、服务器、PC、智能手机等等。
关于WebAssembly (en zh) 就不多说了，这是一个可移植、体积小、加载快并且兼容 Web 的全新格式。这里本人尝试了开发环境的搭建，并接入了一个C++编写的计算字符串MD5的自定义方法。
进入正文之前，我们先回顾一下在模板引擎出现之前，暂且称之为“石器时代”，我们是如何利用JS改变页面结构的。对于下面的代码：
a、插值：数据绑定最基础的形式是文本插值，使用 “Mustache” 语法（双大括号）
1.document.write(""); 输出语句 2.JS中的注释为// 3.传统的HTML文档顺序是:document->html->(head,body) 4.一个浏览器窗口中的DOM顺序是:window->(navigator,screen,history,location,document) 5.得到表单中元素的名称和值:document.getElementById("表单中元素的ID号").name(或value) 6.一个小写转大写的JS: document.getEl
这个题目可能取得不大好，想了很久没想出更合适的了。在android开发webview的时候，有的时候后台不一定给的就是一个url，而是把一些HTML，css，js语言代码给你，然后你自行组装出webview能够识别的语言，并加载到页面当中。
这节介绍一下AngularJS中表示式的用法。使用表达式可以把数据绑定到HTML中去，使用起来非常方便。不过在使用之前得先引用AngularJS文件，这个文件可以去官网上面去下或者百度都可以找到。 下
JavaScript 简称“JS”，是一种脚本编程语言，它灵活轻巧，兼顾函数式编程和面向对象编程，是 Web 前端开发的唯一选择。JavaScript 还有很多框架，比如 jQuery、AngularJS、React 等，它们这是学习 JavaScript 的重要内容。 JavaScript 最初只能运行于浏览器环境，用于 Web 前端开发，后来有“好事”的程序员将 JavaScript 从浏览器中分离出来，搞了一套独立的运行环境，所以现在的 JavaScript 也能用于网站后台开发了。学了 JavaScript，你就是全栈工程师。
reverse----把元素下标进行互换，将原数组的元素进行反转，会改变原数组，并且反转后，还会返回一个数组
1 1. 什么是JSX语法 2 2. jsx语法示例与渲染的VNode节点 3 3. jsx的渲染流程 4 4. jsx中的js和html的写法不同 5 a. js：{ js语法 } 6 i. 花括号里边一定要返回字符串才能渲染 7 ii. {{ 双花括号表示js语法里的对象格式 }} 8 iii. 花括号里可以写表达式、三元、有返回值且返回字符串的函数调用 9 iv. 花括号里直接放对象报错 10 v. 数组可以直接被渲染到页面中。 11 b. html：<html语法> 12 i. class等关键字不能用做html的属性（如class、for等不行，需要替换成别的） 13 1) class -> className 14 2) for -> htmlFor 15 c. a标签写了以后，必须写href属性 16 d. 组件根节点只能是一个标签，不能有并列标签。否则报错！ 17 三种方法实现空白标签包裹：（就像小程序的block标签、又像vue的template标签） 18 i. <React.Fragment>空白标签1</React.Fragment> 19 ii. import { Fragment } from 'react'；<Fragment>空白标签1</Fragment> 20 iii. <>空白标签2</> 21 e. 列表渲染 - 迭代的方法（没有for）：利用数组进行渲染 22 f. key值唯一的绑定 23 g. 条件切换的使用（没有if else、简直反人类） 24 h. 动态样式的绑定 - style的值需要是一个js语法，包裹在对象里边。 25 i. v-html类似用法：dangerouslySetInnerHTML={ {__html: variableName} }【innerHTML容易造成xss攻击，避免使用】 26 j. jsx中的注释 27 i. 多行注释：{ /** js注释 **/ } 28 ii. 单行注释： 29 { 30 // 单行注释，花括号如果提上来就被注释了。所以换行 31 }
1.document.write(""); 输出语句 2.JS中的注释为// 3.传统的HTML文档顺序是:document->html->(head,body) 4.一个浏览器窗口中的DOM顺序是:window->(navigator,screen,history,location,document) 5.得到表单中元素的名称和值:document.getElementById("表单中元素的ID号").name(或value) 6.一个小写转大写的JS: document.getElementById(
注意1：React中文官网已经搬迁至-https://zh-hans.react.dev，原网址内容将不再更新
正则表达式（Regular Expression）使用单个字符串来描述、匹配一系列符合某个句法规则的字符串搜索模式，是用于匹配字符串中字符组合的模式。
Web前端入门相对简单、应用领域众多，是零基础学习IT开发的首选语言。不过在完成HTML+CSS的学习之后，很多同学都会被JS难倒——JS语法、JS数据类型、JS效果三要素：时间、事件及运动轨迹等知识点多且杂，想要熟练掌握难度很大。不过只要你把知识点梳理清楚，真正的理解并加以运用，你就可以掌握它。
这个数组包含在JavaScript的帮助下从JSON字符串中获得的JavaScript对象的值。解决这一问题的方法有两种:
前端开发过程中会接触各种各样的编码，比较常见的主要是UTF－8和HTML实体编码，但是web前端的世界却不止这两种编码，而且编码的选择也会造成一定的问题，如前后端开发过程中不同编码的兼容、多字节编码可能会造成的XSS漏洞等。因此，本文旨在更好的全面了解涉及前端开发领域的字符编码，避免可能出现的交互和开发中的忽视的漏洞。 ---- URL编码 我曾经在URL编码解码和base64一文中讲述了URL编码中的三组函数，并对比了这三组函数与base64编码的关系，在此简要说明一下。 escape/unescape
一个非常常见的操作是将字符串的第一个字母大写。虽然许多编程语言都有一种本地方法来实现这一点，但 JS 需要做一些工作。
JSON和AJAX知识点整理 JSON 导入json的依赖 JavaBean与Json之间的相互转换 首先导入Gson的依赖 演示: List集合和json相互转换 list集合转化为json时，可以直接转，但是json字符串转化为list集合的时候，需要写一个类继承TypeToken<>,并在其泛型里面，填入要转换的list集合类型，具体步骤看下面: json和map相互转换---转换为map集合，和上面步骤一样 使用匿名内部类减少创建类带来的资源损耗 AJAX-----Jquery方式 1.$
JSON的语法规定JSON字符串必须为双引号("")包着⽽不是单引号(’’)，同时JSON对象内的键也是必须为双引号("")包着⽽不是单引号(’’)
模板语法允许在HTML中之插入Js变量以及表达式，当在Js中控制render的时候能够自动在页面上将变量或者是表达式进行计算并显示，比较常见的模板语法有mustcache风格的{{}}以及DSL风格的dsl-html等。
我们知道，前端工程师入门容易，通过学习基本的HTML和CSS就能在浏览器上看到实际的效果，可是要写好的HTML，就不是那么容易了。这里将和大家分享HTML规范，希望大家读完之后都能够有所收获。本文将主要以下面三个部分展开：
entry与output，顾名思义，就是打包的入口与输出，其实之前我们已经接触了这两个参数，下面详细介绍一下这两个参数的配置。
前端框架日新月异，而其中的数据绑定已经成为了一个框架最基础的功能。我们常常使用的单向绑定、双向绑定、事件绑定、样式绑定等，里面具体怎么实现，而当我们数据变动的时候又会触发怎样的底部流程呢？
day02_js学习笔记_01_js的简介、js的基本语法 ======================================================================
什么是Javascript？ Javascript是一种基于对象和事件驱动的， 与平台无关的 ，具有安全性的 ，弱类型的脚本语言。 为什么要用？ 使用它的目的是与HTML超文本标记语言、Java 脚本语言（Java小程序）一起实现在一个Web页面中链接多个对象，与Web客户交互作用。从而可以开发客户端的应用程序等。它是通过嵌入或调入在标准的HTML语言中实现的。它的出现弥补了HTML语言的缺陷，它是Java与HTML折衷的选择。 Javascript的特点： 1.是一种脚本编写语言 Ja
从3个月之前，就想自己开发一个库，从而提高一下自己的能力。庆幸的是在年前就开发出来了，并且生态也初步建成。这里提到的生态包括：Create Strve App、Strve Router以及其他辅助Strve.js开发的工具。
什么是 AST？AST 是 Abstract Syntax Tree 的首字母的缩写，中文名称为：抽象语法树抽象语法树本质上就是一个 JS 对象，以字符串的视角，将 Html 标签 解析为 JS 对象渲染函数（h 函数），既是 AST 的产物，也是 vnode 的起源h('div', { attrs: { className: 'box' } }, [ h('ul', {}, [ h('li', {}, '1'), h('li', {}, '2'), h('l
总结几条Javascript实用的语句，供新手快速学习入门，相信会对你有很大的帮助。
在写说明文档的时遇到一个问题：因为习惯了使用markdown写文档，在向nginx去发布的时候遇到一个语法格式不兼容的问题。
在XSS的时候，有时候有的过滤器很变态，会过滤很多特殊符号和关键词，比如&、(、)、#、'、"，特别是&和括号，少了的话payload很难构造出来。
Webassembly 是一种可以在浏览器端运行二进制格式代码的技术，WebAssembly最大的优点莫过于可大幅度提升 Javascript 的性能。
相信对于学习前端的同学来说，SSR并不陌生。但很多时候我们只是知道或者使用过SSR，因此我们对这块知识很容易忘记。这篇文章带你手写一个SSR，相信写完后会对这块知识更加了解，记忆也会更加深刻。
可能我比较幸运点吧！因为在美国这边大家对工作平衡比较注意，像谷歌的话就比较舒服的了。虽然我们刚进去也年轻，偶尔也加加班，但是整体而言，在谷歌的话，你任务完成了想什么时候走都可以。所以在国内确实会难一些，业务压力会大的话。所以如果你真的觉得业务压力就更大，工作就很忙。那我建议就可能不要逼自己，如果真觉得太累，就不要逼自己。 这个开源本身也其实就是说，这个大家做开源其实都有一个阶段，就是你刚开始有一个想法想把它做出来，刚开始是一种快乐的一种状态，就是把一个想法从零到一那种快感，就是做技术人员都有这种创造一种东西的想法。但是开源在另一个过程完成之后立刻进入一种，就是从90%到100%这个过程其实是很困难的，你就会发现把一个玩具做成真的能用的东西就需要投入很多，当你把它做得真的能用，真的有人用的时候，这些人就会继续给你提不停的要求。这就说，哎呀！我得去回应这些人的期待，这又是一种心理压力。 其实说就是很多时候，大家都是刚开始做开源的时候，这种创造一种东西的快感所吸引。没有意识到你以后会有很多的commit。我对很多想要做开源的朋友的建议是，想清楚你做开源想要做什么，如果你就只是想写一个库觉得很爽，但是我后期不想去做让它耗费我很多精力去维护它，也没有问题，其实就跟大家明确这个想法。但是如果说你想做一个项目想做大做好，想跟React竞争的项目，那这个东西需要极大的投入的。如果你工作本质就很烦忙，那么大概率你就没有可能做这个。所以确实说，想好你的想要什么吧！如果你没有真的条件，如果真的很拼很拼，我就是996，我也要做开源，那你要做好心理准备。我有一段时间把自己搞成996这种状态，就是上完班回来搞Vue，其实这样精神压力是挺大的。我现在可能站着说话不腰疼，我现在还是觉得平衡一点的好。
本文主要是分析慢雾安全团队《⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞》.aspx)，根据慢雾区匿名情报，通用 K 线展示 JS 库 TradingView 存在 XSS 0day 漏洞，可绕过 Cloudflare 等防御机制。该漏洞被利用会导致用户帐号权限被盗、恶意操作等造成资产损失。
可能大家在看到这个标题的时候，会觉得，只不过又是一篇烂大街的SSR从零入门的教程而已。别急，往下看，相信你或多或少会有一些不一样的收获呢。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
